Riepilogo

  • Il phishing è una pratica dannosa in cui gli aggressori si spacciano per entità fidate per indurre le persone a rivelare informazioni sensibili.

  • Impara a riconoscere i segnali più comuni di phishing, come URL sospetti e richieste urgenti di informazioni personali, per stare all'erta.

  • Impara le varie tecniche di phishing, dalle comuni truffe via email al sofisticato spear phishing, per rafforzare le difese della sicurezza informatica.

introduzione

Il phishing è una tattica dannosa in cui gli autori malintenzionati fingono di essere fonti attendibili per indurre le persone a condividere i propri dati sensibili. In questo articolo faremo luce su cos’è il phishing, come funziona e cosa puoi fare per evitare di cadere vittima di questo tipo di truffe.

Come funziona il phishing

Il phishing si basa principalmente sull’ingegneria sociale, un metodo in cui gli aggressori manipolano le persone inducendole a divulgare informazioni sensibili. Gli aggressori raccolgono dati personali da fonti pubbliche (come i social media) per creare e-mail apparentemente autentiche. Le vittime spesso ricevono messaggi dannosi che sembrano provenire da contatti familiari o organizzazioni rispettabili.

La forma più comune di phishing avviene tramite e-mail che contengono collegamenti o allegati dannosi. Facendo clic su questi collegamenti è possibile installare malware sul dispositivo dell'utente o indirizzarlo a siti Web contraffatti progettati per rubare informazioni personali e finanziarie.

Sebbene sia più semplice individuare e-mail di phishing scritte in modo inadeguato, i criminali informatici utilizzano strumenti avanzati come chatbot e generatori vocali di intelligenza artificiale per migliorare l’autenticità dei loro attacchi. Ciò rende difficile per gli utenti distinguere tra comunicazioni autentiche e fraudolente.

Come riconoscere i tentativi di phishing

Identificare le email di phishing può essere complicato, ma ci sono alcuni segnali a cui puoi prestare attenzione.

Segni comuni

Fai attenzione se il messaggio contiene URL sospetti, utilizza indirizzi e-mail pubblici, induce paura o urgenza, richiede informazioni personali o contiene errori di ortografia e grammaticali. Nella maggior parte dei casi, dovresti essere in grado di posizionare il mouse sui collegamenti per controllare gli URL senza fare clic su di essi.

Truffe basate sui pagamenti digitali

I phisher spesso si spacciano per servizi di pagamento online affidabili, come PayPal, Venmo o Wise. Gli utenti ricevono e-mail fraudolente che li invitano a verificare i dettagli di un presunto accesso. È essenziale rimanere vigili e segnalare qualsiasi attività sospetta.

Attacchi di phishing nel settore finanziario

I truffatori si fingono banche o istituti finanziari e rivendicano difetti di sicurezza per ottenere informazioni personali. Le tattiche comuni includono e-mail fuorvianti sui trasferimenti di denaro o truffe sui depositi diretti ai nuovi dipendenti. Potrebbero anche affermare che è disponibile un aggiornamento di sicurezza urgente.

Truffe di phishing legate al lavoro

Queste truffe personalizzate coinvolgono aggressori che si fingono dirigenti, amministratori delegati o direttori finanziari e richiedono bonifici o acquisti falsi. Il phishing vocale con generatori vocali AI al telefono è un altro metodo utilizzato dai truffatori.

Come prevenire gli attacchi di phishing

Per evitare attacchi di phishing, è importante utilizzare più misure di sicurezza. Evitare di fare clic direttamente su qualsiasi collegamento. Vai invece al sito Web dell'azienda o ai canali di comunicazione ufficiali per verificare se le informazioni che hai ricevuto sono legittime. Prendi in considerazione l'utilizzo di strumenti di sicurezza come software antivirus, firewall e filtri antispam.

Inoltre, le organizzazioni dovrebbero utilizzare standard di autenticazione e-mail per verificare le e-mail in arrivo. Esempi comuni di metodi di autenticazione della posta elettronica includono DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting and Conformance).

Per i privati ​​è fondamentale informare familiari e amici sui rischi del phishing. Per le aziende, è fondamentale istruire i dipendenti sulle tecniche di phishing e fornire regolari corsi di sensibilizzazione per ridurre i rischi.

Se hai bisogno di ulteriore aiuto e informazioni, cerca iniziative governative come OnGuardOnline.gov e organizzazioni come Anti-Phishing Working Group Inc. Queste forniscono risorse e indicazioni più dettagliate per rilevare, prevenire e segnalare attacchi di phishing.

Suggerimenti per il phishing

Le tecniche di phishing si stanno evolvendo e i criminali informatici utilizzano una varietà di metodi. I diversi tipi di phishing vengono generalmente classificati in base all'obiettivo e al vettore di attacco. Analizziamolo più nel dettaglio.

Clonazione del phishing

L'aggressore utilizza un'e-mail legittima inviata in precedenza e ne copia il contenuto in un'altra simile che contiene un collegamento a un sito dannoso. L'aggressore potrebbe anche affermare che si tratta di un collegamento aggiornato o nuovo e indicare che quello precedente non era corretto o era scaduto.

Spear-phishing

Questo tipo di attacco si concentra su una persona o un'istituzione. Un attacco spear è più sofisticato di altri tipi di phishing perché è personalizzato. Ciò significa che l'aggressore raccoglie innanzitutto informazioni sulla vittima (ad esempio nomi di amici o familiari) e utilizza questi dati per attirare la vittima verso un file di un sito Web dannoso.

Farmazione

L'aggressore contamina un record DNS, che reindirizza di fatto i visitatori da un sito legittimo a uno fraudolento creato in precedenza dall'aggressore. Questo è l'attacco più pericoloso perché i record DNS non sono sotto il controllo dell'utente, rendendolo incapace di difendersi.

Caccia alla balena

Una forma di spear phishing che prende di mira persone ricche e importanti, come amministratori delegati e funzionari governativi.

Spoofing della posta elettronica

Le e-mail di phishing spesso falsificano le comunicazioni di aziende o persone legittime. Possono includere collegamenti a siti dannosi creati per vittime ignare. Su questi siti, gli aggressori raccolgono credenziali di accesso, nonché informazioni personali, utilizzando pagine di accesso abilmente camuffate. Le pagine possono contenere trojan, keylogger e altri script dannosi che rubano informazioni personali.

Reindirizzamenti del sito web

I reindirizzamenti dei siti Web inviano gli utenti a URL diversi da quelli che intendevano visitare. Gli attori che sfruttano le vulnerabilità possono inserire reindirizzamenti e installare malware sui computer degli utenti.

Typosquatting

Il typosquatting indirizza il traffico verso siti Web contraffatti che utilizzano l'ortografia di una lingua straniera, errori di ortografia comuni o sottili variazioni nel dominio di primo livello. I phisher utilizzano i domini per imitare le interfacce dei siti Web legittimi, approfittando degli utenti che digitano o leggono l'URL in modo errato.

Annunci a pagamento falsi

Gli annunci a pagamento sono un'altra tattica utilizzata per il phishing. Questi annunci (falsi) utilizzano domini a cui gli aggressori hanno applicato typosquatting e vengono pagati per salire nei risultati di ricerca. Il sito potrebbe anche apparire come uno dei migliori risultati di ricerca su Google.

Attacco all'abbeveratoio

Nell'attacco Watering Hole i phisher studiano gli utenti e determinano quali siti web visitano più frequentemente. Eseguono la scansione di questi siti alla ricerca di vulnerabilità e tentano di iniettare script dannosi progettati per prendere di mira gli utenti la prossima volta che visitano quel sito web.

Furto d'identità e omaggi falsi

Impersonano l'identità di personaggi influenti sui social network. I phisher possono impersonare i principali leader aziendali e pubblicizzare omaggi o impegnarsi in altre pratiche ingannevoli. Le vittime di questa bufala possono anche essere prese di mira individualmente attraverso processi di ingegneria sociale volti a scovare utenti ingenui. Gli attori possono hackerare account verificati e modificare i nomi utente per impersonare una figura reale mantenendo lo stato verificato.

Recentemente, i phisher hanno preso di mira pesantemente piattaforme come Discord, X e Telegram per gli stessi scopi: spoofing di chat, impersonificazione di persone e imitazione di servizi legittimi.

Applicazioni dannose

I phisher possono anche utilizzare app dannose che monitorano il tuo comportamento o rubano informazioni sensibili. Le app possono fungere da rilevatori di prezzi, portafogli e altri strumenti relativi alle criptovalute (che hanno una base di utenti predisposta al trading e al possesso di criptovalute).

SMS e phishing vocale

Una forma di phishing basato su messaggi di testo, solitamente tramite SMS o messaggi vocali, che incoraggia gli utenti a condividere informazioni personali.

Phishing vs. Farmazione

Sebbene alcuni considerino il pharming una forma di attacco di phishing, esso si basa su un meccanismo diverso. La differenza principale tra phishing e pharming è che il phishing richiede che la vittima commetta un errore. Al contrario, il pharming richiede solo che la vittima tenti di accedere a un sito web legittimo il cui record DNS è stato compromesso dall’aggressore.

Phishing nel settore delle criptovalute e della blockchain

Sebbene la tecnologia blockchain offra una forte sicurezza dei dati grazie alla sua natura decentralizzata, gli utenti nello spazio blockchain dovrebbero rimanere vigili contro l’ingegneria sociale e i tentativi di phishing. I criminali informatici spesso tentano di sfruttare le vulnerabilità umane per ottenere l’accesso a chiavi private o credenziali di accesso. Nella maggior parte dei casi, le truffe si basano sull’errore umano.

I truffatori possono anche tentare di indurre gli utenti a rivelare le loro frasi seed o a trasferire fondi a indirizzi falsi. È importante prestare attenzione e seguire le pratiche di sicurezza consigliate.

Conclusioni

In conclusione, comprendere il phishing e rimanere informati sull’evoluzione delle tecniche di truffa è fondamentale per salvaguardare le informazioni personali e finanziarie. Combinando forti misure di sicurezza, istruzione e consapevolezza, gli individui e le organizzazioni possono rafforzarsi contro la minaccia sempre presente del phishing nel nostro mondo digitale interconnesso. Rimani SAFU!

Ulteriori letture

  • Cinque consigli per proteggere le tue partecipazioni in criptovalute

  • Cinque modi per migliorare la sicurezza del tuo account Binance

  • Come condurre transazioni peer-to-peer (P2P) in modo sicuro

Avviso legale e avvertenza sui rischi: questo contenuto è presentato "così com'è" solo a scopo informativo generale e didattico, senza dichiarazioni o garanzie di alcun tipo. Non deve essere interpretato come consulenza finanziaria, legale o di altro tipo professionale, né è inteso a raccomandare l'acquisto di alcun prodotto o servizio specifico. Dovresti chiedere una consulenza individuale a consulenti professionali adeguati. Poiché questo articolo è fornito da terze parti, tieni presente che le opinioni espresse sono quelle del contributore di terze parti e non riflettono necessariamente quelle di Binance Academy. Per ulteriori informazioni, leggi la nostra nota legale completa qui. I prezzi degli asset digitali possono essere volatili. Il valore di un investimento può diminuire così come aumentare e potresti non recuperare l’importo investito. Solo tu sei responsabile delle tue decisioni di investimento. Binance Academy non è responsabile per eventuali perdite che potresti subire. Questo materiale non deve essere interpretato come consulenza finanziaria, legale o di altro tipo. Per ulteriori informazioni, consultare i nostri Termini di utilizzo e Avvertenza sui rischi.